CVE-2018-20852
Təsvir
Python-un 3.7.3 versiyasından əvvəlki sürümlərində Lib/http/cookiejar.py faylındakı http.cookiejar.DefaultPolicy.domain_return_ok domeni düzgün şəkildə təsdiqləmir: onu mövcud kukiləri yanlış serverə göndərməyə məcbur etmək mümkündür. Hücumçu bu boşluqdan istifadə edərək, başqa bir etibarlı host adını suffiks kimi daşıyan host adına malik serverdən yararlana bilər (məsələn, example.com üçün kukiləri oğurlamaq üçün pythonicexample.com istifadə etmək). Proqram http.cookiejar.DefaultPolicy-dən istifadə etdikdə və hücumçunun nəzarətində olan serverə HTTP bağlantısı qurmağa çalışdıqda, mövcud kukilər hücumçuya sızdırıla bilər. Bu problem 2.x-dən 2.7.16-ya qədər, 3.4.10-dan əvvəlki 3.x, 3.5.7-dən əvvəlki 3.5.x, 3.6.9-dan əvvəlki 3.6.x və 3.7.3-dən əvvəlki 3.7.x versiyalarına təsir göstərir.
Necə düzəltmək olar
- python python3.4.10, 3.5.7, 3.6.9, 3.7.3 və ya daha yeni versiya
- usn.ubuntu.com/4127-2/
- usn.ubuntu.com/4127-1/
- access.redhat.com/errata/RHSA-2019:3725
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/K7HNVIFMETMFWWWUNTB72KYJYXCZOS5V/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ZBTGPBUABGXZ7WH7677OEM3NSP6ZEA76/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/COATURTCY7G67AYI6UDV5B2JZTBCKIDX/
- access.redhat.com/errata/RHSA-2019:3948
- security.gentoo.org/glsa/202003-26
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| python python | 2.0 ≤ v ≤ 2.7.16, 3.0.0 ≤ v < 3.4.10, 3.5.0 ≤ v < 3.5.7, 3.6.0 ≤ v < 3.6.9, 3.7.0 ≤ v < 3.7.3 | 3.4.10, 3.5.7, 3.6.9, 3.7.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.